Access conditions¶
Modul Access conditions definuje pravidlá, ktoré po pripojení k access policy povoľujú alebo zamietajú používateľom pripojenie k používateľskému portálu na základe technického kritéria (IP adresa, časové okno, prehliadač, operačný systém, certifikát, atribút profilu používateľa atď.).
Podmienka sa vyhodnocuje v čase pripojenia: ak je platná, použije sa priradená akcia (povolenie alebo zamietnutie).
Zoznam podmienok¶
Tabuľka zobrazuje všetky existujúce podmienky, stránkované po 15, 25 alebo 50 položkách.
| Stĺpec | Popis |
|---|---|
| Name | Označenie podmienky, pred ktorým je ikona zobrazujúca typ a rozhodnutie (povolenie alebo zamietnutie). |
| Type | Typ podmienky (pozrite tabuľku nižšie). |
| Condition | Textový súhrn nakonfigurovaných parametrov (rozsahy IP, dátumy, prehliadače atď.). |
Pole vyhľadávania vpravo hore filtruje zoznam podľa názvu.
Pridanie podmienky¶
Kliknutím na tlačidlo + sa otvorí formulár na vytvorenie. Polia spoločné pre všetky typy:
| Pole | Popis |
|---|---|
| Condition type | Povinné. Určuje povahu pravidla (pozrite tabuľku nižšie). Po prvom uložení ho nemožno zmeniť. |
| Name | Povinné. |
| Description | Voľný text. |
| Access | Dve možnosti: Allow if valid (predvolené) alebo Deny if valid. |
| Notify the user if invalid | Ak je táto možnosť začiarknutá, používateľovi sa zobrazí správa, keď podmienka zamietne prístup. |
| Log if invalid | Ak je táto možnosť začiarknutá, pri zamietnutí sa do logu zapíše položka. |
Dostupné typy¶
| Typ | Vykonávaná kontrola | Vyžaduje sa klient |
|---|---|---|
| Connection address | Adresa URL, pomocou ktorej sa používateľ dostane k tenantu CyberElements. | Nie |
| Antispyware | Prítomnosť aktívneho antispywarového programu na pracovnej stanici. | Áno |
| Antivirus | Prítomnosť aktívneho antivírusového programu na pracovnej stanici. | Áno |
| Windows Security Center | Stav nastavení zabezpečenia systému Windows (automatická aktualizácia, nastavenia programu Internet Explorer, UAC). | Áno |
| Certificate | Certifikát, ktorý prehliadač predkladá na overenie vo webovom rozhraní. | Nie |
| Date | Rozsah dátumov, časové okno, zoznam mesiacov, dni v týždni. | Nie |
| IP | IP adresa alebo adresa domény, rozsah IP alebo podsieť. | Nie |
| MD5 | Prítomnosť súboru v zadanej ceste s očakávaným kontrolným súčtom MD5. | Áno |
| Meta-rule | Logická kombinácia (AND / OR) aspoň dvoch iných existujúcich podmienok. | Závisí od kombinovaných podmienok |
| Browser | Prehliadač, ktorý používa klient. | Nie |
| Operating system | Operačný systém zistený na pracovnej stanici. | Áno, ak nie je začiarknutá možnosť Use the User-Agent |
| Firewall | Prítomnosť aktívnej brány firewall. | Áno |
| System | Lokálna kontrola (súbor, číslo zväzku, sériové číslo disku, spustený proces, kľúč databázy Registry). | Áno |
| User | Prítomnosť alebo hodnota atribútu profilu používateľa. | Nie |
| FIDO2 | Overenie používateľa pomocou kľúča FIDO2 / WebAuthn. | Nie |
Stĺpec „Vyžaduje sa klient“
Niektoré kontroly sa týkajú stavu pracovnej stanice: vykonávajú sa lokálne, a preto vyžadujú, aby bol na pracovnej stanici používateľa nainštalovaný klient CyberElements. Ak klient chýba, podmienku, ktorá ho potrebuje, nemožno vyhodnotiť a považuje sa za neplatnú — čo platí najmä pre pripojenia z Cleanroom Desktop.
Parametre podľa typu¶
| Pole | Popis |
|---|---|
| Domain | Časť adresy URL tenanta s názvom hostiteľa (bez https:// a bez cesty). Akceptuje písmená, číslice, spojovníky, bodku a znaky regulárnych výrazov. |
Ponúkajú sa dva režimy:
| Režim | Popis |
|---|---|
| User authenticated using a certificate (predvolené) | Kontroluje, či sa používateľ overil pomocou certifikátu. |
| Test certificate's contents | Navyše porovná pole certifikátu s poľom profilu používateľa. |
Ďalšie polia pre druhý režim:
| Pole | Popis |
|---|---|
| Certificate field | Rozbaľovací zoznam: DN field of the user certificate, CN field of the user certificate (predvolené), Email field of the user certificate, O field of the user certificate, OR field of the user certificate alebo PEM-encoded certificate for client X509. |
| User profile field | Pole profilu používateľa, ktorého hodnota sa porovnáva. |
Musí byť začiarknutá aspoň jedna zo štyroch možností; aktívne možnosti sa kombinujú logickým AND.
| Možnosť | Popis |
|---|---|
| Date | Rozsah dátumov (začiatok, koniec). Dátum ukončenia nemôže byť skorší ako dátum začatia. |
| Hour | Časové okno (HH:MM). Čas ukončenia musí byť neskorší ako čas začatia (pokiaľ podmienka nepresahuje niekoľko dní). |
| Month | Dvanásť začiarkavacích políčok, predvolene sú všetky začiarknuté. |
| Day of the week | Sedem začiarkavacích políčok, predvolene sú všetky začiarknuté. |
Tri navzájom sa vylučujúce režimy:
| Režim | Polia |
|---|---|
| IP or domain list | Jedna alebo viac adries IPv4 oddelených znakom ;. |
| IP range | Počiatočná a koncová IP adresa. |
| Subnetwork | IP adresa a maska (CIDR 0 až 32). |
| Pole | Popis |
|---|---|
| File path | Úplná cesta (napr. C:\Test.ext). |
| MD5 checksum | Hexadecimálne číslo s dĺžkou 32 znakov. |
Odkaz umožňuje stiahnuť nástroj na výpočet kontrolného súčtu MD5 pre Windows, ktorý poskytuje CyberElements.
| Pole | Popis |
|---|---|
| Logical operator | AND (predvolené) alebo OR. |
| Component rules | Presuňte myšou aspoň dve podmienky z ľavého stĺpca do pravého. Metapravidlo nemôže odkazovať samo na seba ani na metapravidlo, ktoré sa už používa v jeho vlastnej hierarchii. |
Začiarkavacie políčka zodpovedajúce prehliadačom, ktoré sa majú zisťovať: Internet Explorer 7 až 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Možnosť Other aktivuje pole s voľným textom na zadanie presného názvu iného prehliadača. Predvolene je začiarknutá možnosť Internet Explorer.
Vyčlenenie pripojení z Cleanroom Desktop
Platforma vníma Cleanroom Desktop ako prehliadač: identifikuje sa reťazcom user-agent v tvare Cleanroom Desktop 1.2.3.4. Začiarknutím možnosti Other a zadaním Cleanroom Desktop sa teda zacielia prístupy z tohto klienta. Podmienka pripojená k zásade prístupu umožňuje vyhradiť niektoré prostriedky pre klienta Desktop a iné pre používateľský portál.
| Možnosť | Popis |
|---|---|
| Use the User-Agent | Ak je táto možnosť začiarknutá, zisťovanie sa spolieha na hlavičku User-Agent, a nie na lokálneho agenta. |
| OS list | Začiarkavacie políčka (Windows XP až 11, Windows Server 2003 až 2022, Linux, MacOS X, Vista, 9x, NT, CE atď.). Možnosť Other aktivuje pole s voľným textom. Musí byť začiarknuté aspoň jedno políčko. |
Lokálna kontrola, jeden z režimov:
| Režim | Popis | Vyhodnotenie zoznamu |
|---|---|---|
| File | Zoznam ciest k súborom na kontrolu. | Všetky musia byť prítomné (AND). |
| C:\ volume number | Zoznam čísel zväzkov (pri ich zistení pomáha nástroj na stiahnutie). | Musí sa zhodovať aspoň jedno (OR). |
| Hard disk serial number | Zoznam sériových čísel. | Musí sa zhodovať aspoň jedno (OR). |
| Running process | Zoznam názvov procesov. | Všetky musia byť spustené (AND). |
| Registry Key | Zoznam kľúčov alebo hodnôt v tvare HKEY_LOCAL_MACHINE\path\name=value. |
Všetky musia existovať, prípadne so zadanou hodnotou (AND). |
V každom režime zadajte hodnotu a kliknutím na Add ju pridajte do tabuľky. Každý riadok možno odstrániť samostatne (s potvrdením).
Logika sa líši podľa režimu
Dva hardvérové režimy — C:\ volume number a Hard disk serial number — sú splnené, hneď ako sa zhoduje jediná hodnota zo zoznamu: zoznam tu vymenúva povolené pracovné stanice. Ďalšie tri režimy vyžadujú overenie každej hodnoty.
| Pole | Popis |
|---|---|
| Attribute name | Atribút profilu používateľa, ktorý sa má testovať (napr. mail, employeeID, mobile). |
| Attribute value | Voliteľné. Výraz porovnávaný s vrátenou hodnotou. Ak zostane prázdne, podmienka iba overí, či atribút obsahuje hodnotu. |
| Exclusive comparison | Ak je táto možnosť začiarknutá, výraz sa musí zhodovať od začiatku hodnoty; inak sa môže zhodovať kdekoľvek v rámci hodnoty. |
Podporované typy domén
Táto podmienka nie je obmedzená na adresáre: pri doméne LDAP sa atribúty čítajú z adresára a pri lokálnej doméne z databázy. Pri iných typoch domén — najmä SAML — sa nevracia žiadny atribút, takže podmienka tam nikdy nie je platná, čo má význam podľa toho, či je nastavená na Allow alebo na Deny.
Úprava podmienky¶
Vyberte podmienku v zozname a kliknite na ikonu Properties alebo dvakrát kliknite na riadok. Zobrazia sa rovnaké polia ako pri vytváraní, okrem poľa Type, ktoré je iba na čítanie.
Odstránenie podmienky¶
Vyberte jednu alebo viac podmienok a kliknite na tlačidlo ×. Odstránenie si vyžaduje potvrdenie. Podporuje sa viacnásobný výber.